(57)【特許請求の範囲】
【請求項１】
認証方法を識別する認証方法識別子を含むアクセストークンを発行するアクセストークン発行手段と、
前記アクセストークンを伴うサービス要求を受信し、前記サービス要求が認証サービス手段による認証が既に行われていることを示す認証識別子を伴わない場合に、前記アクセストークンに含まれる認証方法識別子により特定される前記認証サービス手段に前記サービス要求を要求元の利用者端末を介してリダイレクト送信し、前記サービス要求が認証識別子を伴う場合に、予め登録されている認証識別子に存在するか否か判断し、存在する場合に前記サービス要求の対象となるサービスを実行するサービス提供手段に前記サービス要求を転送する認証フィルタ手段と
を備えたことを特徴とするアクセス管理システム。
【請求項２】
請求項１に記載のアクセス管理システムにおいて、
前記認証サービス手段は、前記認証フィルタ手段から要求元の利用者端末を介して前記サービス要求のリダイレクト送信を受けた場合に、前記利用者端末に対してクレデンシャル情報を要求し、応答として取得したクレデンシャル情報と予め登録されている利用者情報に含まれるクレデンシャル情報に基づいて認証を行う
ことを特徴とするアクセス管理システム。
【請求項３】
請求項１または２のいずれか一項に記載のアクセス管理システムにおいて、
前記認証フィルタ手段は、
前記認証識別子を利用者識別子と対応付けて保持する認証識別子格納手段と、
前記認証方法識別子と前記認証サービス手段のアクセスアドレスとを対応付けて保持する認証方法情報格納手段と
を備え、
前記認証サービス手段は、
クレデンシャル情報を含む利用者情報を利用者識別子と対応付けて保持する利用者情報格納手段
を備えたことを特徴とするアクセス管理システム。
【請求項４】
認証方法を識別する認証方法識別子を含むアクセストークンを伴うサービス要求を受信する手段と、
前記サービス要求が認証サービス手段による認証が既に行われていることを示す認証識別子を伴わない場合に、前記アクセストークンに含まれる認証方法識別子により特定される前記認証サービス手段に前記サービス要求を要求元の利用者端末を介してリダイレクト送信する手段と、
前記サービス要求が認証識別子を伴う場合に、予め登録されている認証識別子に存在するか否か判断し、存在する場合に前記サービス要求の対象となるサービスを実行するサービス提供手段に前記サービス要求を転送する手段と
を備えたことを特徴とする認証フィルタ装置。
【請求項５】
アクセストークン発行手段が、認証方法を識別する認証方法識別子を含むアクセストークンを発行する工程と、
認証フィルタ手段が、認証方法を識別する認証方法識別子を含むアクセストークンを伴うサービス要求を受信する工程と、
前記認証フィルタ手段が、前記サービス要求が認証サービス手段による認証が既に行われていることを示す認証識別子を伴わない場合に、前記アクセストークンに含まれる認証方法識別子により特定される前記認証サービス手段に前記サービス要求を要求元の利用者端末を介してリダイレクト送信する工程と、
前記認証フィルタ手段が、前記サービス要求が認証識別子を伴う場合に、予め登録されている認証識別子に存在するか否か判断し、存在する場合に前記サービス要求の対象となるサービスを実行するサービス提供手段に前記サービス要求を転送する工程と
を備えたことを特徴とするアクセス管理方法。
【請求項６】
コンピュータを、
認証方法を識別する認証方法識別子を含むアクセストークンを発行する手段、
前記アクセストークンを伴うサービス要求を受信する手段、
前記サービス要求が認証サービス手段による認証が既に行われていることを示す認証識別子を伴わない場合に、前記アクセストークンに含まれる認証方法識別子により特定される前記認証サービス手段に前記サービス要求を要求元の利用者端末を介してリダイレクト送信する手段、
前記サービス要求が認証識別子を伴う場合に、予め登録されている認証識別子に存在するか否か判断し、存在する場合に前記サービス要求の対象となるサービスを実行するサービス提供手段に前記サービス要求を転送する手段
として機能させるアクセス管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等のネットワーク上に公開されたサービスへのアクセスを管理する技術に関する。
【背景技術】
【０００２】
近年、ネットワーク上にサービスが公開され、至るところからアクセスすることができるようになってきた。そのため、不特定多数の利用者がサービスを利用することが可能となってきている。
【０００３】
サービス業者は、公開するサービスにかかる情報や情報処理を不特定多数の利用者から制限し、所定の権限を保有する利用者に対してだけ限定的に提供するために、アクセス制御を行う（例えば、特許文献１参照。）。
【０００４】
図１は従来のシステムの構成例を示す図であり、インターネット等のネットワーク２０に利用者端末装置１０と認証フィルタ装置３０と認証サービス装置４０とサービス提供装置５０とが接続されている。なお、破線で囲んだ認証フィルタ装置３０、認証サービス装置４０およびサービス提供装置５０は、同一もしくは提携関係にあるサービス業者が運営するものである。
【０００５】
図２は上記の従来のシステムの処理例を示すシーケンス図である。
【０００６】
図２において、利用者端末装置１０から認証フィルタ装置３０に対して認証クッキーを伴わないサービス要求を行ったものとする（ステップＳ１０１）。なお、認証クッキーは、既に認証サービス装置４０において認証が行われている場合に、認証フィルタ装置３０により発行されて認証フィルタ装置３０の内部に登録されるとともに、利用者端末装置１０に通知されて内部に保存されている。認証クッキーは、それが存在する場合には、サービス要求のヘッダに含まれて送られる場合と、サービス要求を受信した認証フィルタ装置３０側から利用者端末装置１０に対して読み出しが行われて取得される場合とがある。
【０００７】
サービス要求を受信した認証フィルタ装置３０は、認証クッキーの有無と、認証クッキーがある場合には認証フィルタ装置３０の内部に登録された認証クッキーに存在するか否か判断する（ステップＳ１０２）。この場合は、認証クッキーを伴わないサービス要求であるため、認証クッキーがないと判断する。
【０００８】
そのため、認証フィルタ装置３０は所定の認証サービス装置４０へのリダイレクトを設定した認証要求を利用者端末装置１０に対して送信する（ステップＳ１０３）。
【０００９】
利用者端末装置１０はリダイレクトの設定に従って自動的にリダイレクトし（ステップＳ１０４）、認証要求を認証サービス装置４０に送信する（ステップＳ１０５）。
【００１０】
認証要求を受信した認証サービス装置４０は、所定の認証手順に従い、パスワード等のクレデンシャル情報を利用者端末装置１０に対して要求する（ステップＳ１０６）。
【００１１】
クレデンシャル情報を要求された利用者端末装置１０では、利用者の操作もしくは自動起動プログラム等によりクレデンシャル情報の入力を行い（ステップＳ１０７）、入力したクレデンシャル情報を伴うクレデンシャル応答を認証サービス装置４０に送信する（ステップＳ１０８）。
【００１２】
クレデンシャル応答を受信した認証サービス装置４０は、予め内部に登録された利用者情報に含まれるクレデンシャル情報に基づき、登録されたパスワード等と一致するか否かをチェックし（ステップＳ１０９）、一致する場合には認証が正常に行えた旨の認証結果と利用者識別子を伴う認証応答を、認証フィルタ装置３０へのリダイレクトを設定して利用者端末装置１０に送信する（ステップＳ１１０）。
【００１３】
利用者端末装置１０はリダイレクトの設定に従って自動的にリダイレクトし（ステップＳ１１１）、認証応答を認証フィルタ装置３０に送信する（ステップＳ１１２）。
【００１４】
認証応答を受信した認証フィルタ装置３０は、所定のアルゴリズムにより認証クッキーを発行して利用者識別子と対応付けて内部に登録するとともに（ステップＳ１１３）、発行した認証クッキーを伴うサービス要求を、認証フィルタ装置３０へのリダイレクトを設定して利用者端末装置１０に対して送信する（ステップＳ１１４）。
【００１５】
利用者端末装置１０はリダイレクトの設定に従って自動的にリダイレクトし（ステップＳ１１５）、サービス要求を認証フィルタ装置３０に送信する（ステップＳ１１６）。
【００１６】
サービス要求を受信した認証フィルタ装置３０は、認証クッキーの有無と、認証クッキーがある場合には認証フィルタ装置３０の内部に登録された認証クッキーに存在するか否か判断する（ステップＳ１１７）。この場合は、認証クッキーを伴うサービス要求であるため、更に認証クッキーが認証フィルタ装置３０の内部に登録された認証クッキーに存在するか否か判断し、リダイレクトにより送られたサービス要求であるため、認証フィルタ装置３０の内部に登録された認証クッキーに存在すると判断する。
【００１７】
これにより、認証フィルタ装置３０は適正なサービス要求であると判断し、そのサービス要求をサービス提供装置５０に送信（転送）する（ステップＳ１１８）。
【００１８】
サービス要求を受信したサービス提供装置５０は、所定のサービスを実行し（ステップＳ１１９）、サービス実行結果を利用者端末装置１０に送信する（ステップＳ１２０）。
【先行技術文献】
【特許文献】
【００１９】
【特許文献１】特開平１０−２５７０４８号公報
【発明の概要】
【発明が解決しようとする課題】
【００２０】
上述したように、従来のシステムでは認証クッキーの有無により認証を受けているか否かをチェックし、認証クッキーがない場合には認証を受けるように誘導し、認証を受けて認証クッキーがある場合にのみサービスを受けられるようにしていた。この場合、認証を受けているか否かのみがアクセスを許可するか否かの判断基準であって、具体的な認証方法はシステムで用意された常に同じ固定の認証サービスに限られていた。
【００２１】
そのため、認証方法をサービスの内容や利用者に応じて実行時に柔軟に変えられないという問題があった。
【００２２】
また、アクセス制限付きのサービスがどの認証サービスを使って認証するかはシステム稼働前の設計時に決める必要があり、アクセス制限付きのサービスと認証サービスの関係を実行時に柔軟に変えられないという問題もあった。すなわち、アクセス制限付きのサービスを利用しようとする利用者の認証方法を、システム動作中に柔軟に追加・変更することができなかった。
【００２３】
更に、同様の理由により、多様な認証方法を提供しつつ、サービスや利用者やその他の制約に基づき、利用者に種々存在する認証方法から一つの方法を課することができないという問題もあった。
【００２４】
本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、認証方法を柔軟にカスタマイズ可能な、認証方法の自由度を高めることのできるアクセス管理システムを提供することにある。
【課題を解決するための手段】
【００２５】
上記の課題を解決するため、本発明にあっては、認証方法を識別する認証方法識別子を含むアクセストークンを発行するアクセストークン発行手段と、前記アクセストークンを伴うサービス要求を受信し、前記サービス要求が認証サービス手段による認証が既に行われていることを示す認証識別子を伴わない場合に、前記アクセストークンに含まれる認証方法識別子により特定される前記認証サービス手段に前記サービス要求を要求元の利用者端末を介してリダイレクト送信し、前記サービス要求が認証識別子を伴う場合に、予め登録されている認証識別子に存在するか否か判断し、存在する場合に前記サービス要求の対象となるサービスを実行するサービス提供手段に前記サービス要求を転送する認証フィルタ手段とを備えるようにしている。
【発明の効果】
【００２６】
本発明のアクセス管理システムにあっては、アクセストークンに含めた認証方法識別子によって認証方法を選択できるため、認証方法を柔軟にカスタマイズ可能であり、認証方法の自由度を高めることができる。
【図面の簡単な説明】
【００２７】
【図１】従来のシステムの構成例を示す図である。
【図２】従来のシステムの処理例を示すシーケンス図である。
【図３】本発明の一実施形態にかかるシステムの構成例を示す図である。
【図４】アクセストークンのデータ構造例を示す図である。
【図５】認証フィルタ装置および認証サービス装置の構成例を示す図である。
【図６】実施形態の処理例を示すシーケンス図である。
【発明を実施するための形態】
【００２８】
以下、本発明の好適な実施形態につき説明する。
【００２９】
＜構成＞
図３は本発明の一実施形態にかかるシステムの構成例を示す図である。
【００３０】
図３において、インターネット等のネットワーク２には、利用者端末装置１とアクセストークン発行装置３と認証フィルタ装置４と認証サービス装置５Ａ〜５Ｃ、・・とサービス提供装置６とが接続されている。なお、破線で囲んだアクセストークン発行装置３、認証フィルタ装置４、認証サービス装置５Ａおよびサービス提供装置６は、同一もしくは提携関係にあるサービス業者が運営するものとしている。
【００３１】
利用者端末装置１は、利用者が使用するＰＣ（Personal Computer）、タブレット端末、スマートフォン、携帯電話等の通信機能を備えた情報機器である。なお、利用者はソフトウェアエージェントでもよい。
【００３２】
アクセストークン発行装置３は、利用者端末装置１からの要求に応じ、認証方法を識別する認証方法識別子を含むアクセストークンを発行する機能を有している。認証方法とは、パスワードによる認証（パスワード認証）や、指紋による認証（指紋認証）や、声紋による認証（声紋認証）、利用者が所定の属性情報を保持しているか否かを判別する属性認証等の、個々の認証の手法である。
【００３３】
図４はアクセストークンのデータ構造例を示す図であり、認証方法を識別する「認証方法識別子」と、所定のアルゴリズムによって生成されたランダムな文字列からなる「トークン本体データ」とを含んでいる。なお、アクセストークンは、直接に発行を受けた利用者のほか、その利用者からアクセストークンの移譲を受けた者も利用することができる。
【００３４】
図３に戻り、認証フィルタ装置４は、アクセストークンを伴うサービス要求を利用者端末装置１から受信し、サービス要求が認証識別子を伴わない場合に、アクセストークンに含まれる認証方法識別子の示す認証方法による認証処理を提供する認証サービス装置５（５Ａ〜５Ｃ、・・のいずれか）にサービス要求をリダイレクト送信し、サービス要求が認証識別子を伴う場合に、予め登録されている認証識別子に存在するか否か判断し、存在する場合にサービス提供装置６にサービス要求を転送する機能を有している。ここで、「認証識別子」は「認証方法識別子」とは異なるものであり、認証サービス装置５（５Ａ〜５Ｃ、・・のいずれか）で認証が済んでいるか否かを示すものである。「認証識別子」は認証クッキーとして実装することができる。
【００３５】
サービス提供装置６は、利用者端末装置１からのサービス要求に応じ、情報や情報処理のサービスを提供する機能を有している。
【００３６】
認証サービス装置５Ａ〜５Ｃは、利用者端末装置１の利用者に対して、アクセストークンに含まれる認証方法識別子の示す認証方法による認証処理を提供する機能を有している。
【００３７】
図５は認証フィルタ装置４および認証サービス装置５の構成例を示す図である。
【００３８】
図５において、認証フィルタ装置４は、コンピュータハードウェア上で実行されるコンピュータプログラムにより主として実現される機能部として、アクセストークン検出部４１と認証識別子管理部４２と認証方法識別子検出部４３とアクセス転送部４４とを備えている。また、ハードディスク等の記憶領域により構成される記憶部として、認証識別子格納部４５と認証方法情報格納部４６とを備えている。
【００３９】
アクセストークン検出部４１は、利用者端末装置１から受信したサービス要求に伴うアクセストークンを検出する機能を有している。
【００４０】
認証識別子管理部４２は、認証サービス装置５による利用者の認証後に、認証識別子を発行し、認証識別子格納部４５に利用者識別子、発行日時等とともに保管して管理する機能を有している。また、利用者からのサービス要求時に提示された認証識別子が、認証識別子格納部４５に存在するか否か検証する機能を有している。属性認証のように、唯一特定の利用者を識別しない認証後には、利用者識別子は空になる場合もある。
【００４１】
認証方法識別子検出部４３は、利用者からのサービス要求時に提示されるアクセストークンから、認証方法識別子を検出する機能を有している。
【００４２】
アクセス転送部４４は、利用者を認証するために、認証方法識別子検出部４３により検出された認証方法識別子をキーにして認証方法情報格納部４６を検索し、認証方法識別子に予め対応付けられたサービスＵＲＬ（アクセスアドレス）の認証サービス装置５（５Ａ〜５Ｃ、・・のいずれか）へ利用者からのサービス要求を転送する機能を有している。
【００４３】
認証サービス装置５は、機能部として、１もしくは複数の認証部５１を備えている。また、記憶部として、利用者情報格納部５２を備えている。
【００４４】
認証部５１は、利用者情報格納部５２にて管理している利用者固有の利用者識別子と対応する利用者情報の一部であるクレデンシャル情報（パスワード等の認証に利用する情報）を利用して認証する機能を有している。
【００４５】
＜動作＞
図６は上記の実施形態の処理例を示すシーケンス図である。
【００４６】
本実施形態では、予め利用者端末装置１からアクセストークン発行装置３に要求してアクセストークン（ＡＴ）の発行を受けておくか、アクセストークンを有する者から移譲を受けておくものとする。アクセストークン発行装置３によるアクセストークンの発行に際しては、提供を受けるサービスの内容とユーザの属性に基づいて適切な認証方法が指定され、その認証方法を示す認証方法識別子がアクセストークンに設定される。
【００４７】
図６において、もし利用者端末装置１から認証フィルタ装置４に対してアクセストークン（ＡＴ）を伴わないサービス要求を行ったものとする（ステップＳ１）。
【００４８】
サービス要求を受信した認証フィルタ装置４は、アクセストークンの有無と、アクセストークンがある場合は認証識別子の有無と、認証識別子がある場合には認証フィルタ装置４の内部に登録された認証識別子に存在するか否か判断する（ステップＳ２）。なお、認証識別子は、既に認証サービス装置５において認証が行われている場合に、認証フィルタ装置４により発行されて認証フィルタ装置４の内部に登録されるとともに、利用者端末装置１に通知されて内部に保存されている。認証識別子は、それが存在する場合には、サービス要求のヘッダに含まれて送られる場合と、サービス要求を受信した認証フィルタ装置４側から利用者端末装置１に対して読み出しが行われて取得される場合とがある。
【００４９】
この場合は、アクセストークンを伴わないサービス要求であるため、エラーを応答し（ステップＳ３）、処理を終了する。サービスが受けたい場合には、別途、アクセストークン発行装置３からアクセストークンの発行を受けなければならない。
【００５０】
一方、利用者端末装置１から認証フィルタ装置４に対してアクセストークンを伴い認証識別子を伴わないサービス要求を行ったものとする（ステップＳ４）。
【００５１】
サービス要求を受信した認証フィルタ装置４は、アクセストークンの有無と、アクセストークンがある場合は認証識別子の有無と、認証識別子がある場合には認証フィルタ装置４の内部に登録された認証識別子に存在するか否か判断する（ステップＳ５）。この場合は、アクセストークンを伴うが認証識別子を伴わないサービス要求であるため、認証識別子がないと判断する。
【００５２】
そのため、認証フィルタ装置４は、アクセストークンに含まれる認証方法識別子を取得し（ステップＳ６）、その認証方法識別子に対応付けられているサービスＵＲＬの示す所定の認証サービス装置５（５Ａ〜５Ｃ、・・のいずれか）へのリダイレクトを設定した認証要求を利用者端末装置１に対して送信する（ステップＳ７）。
【００５３】
利用者端末装置１はリダイレクトの設定に従って自動的にリダイレクトし（ステップＳ８）、認証要求を認証サービス装置５に送信する（ステップＳ９）。
【００５４】
認証要求を受信した認証サービス装置５は、所定の認証手順に従い、パスワード等のクレデンシャル情報を利用者端末装置１に対して要求する（ステップＳ１０）。
【００５５】
クレデンシャル情報を要求された利用者端末装置１では、利用者の操作もしくは自動起動プログラム等によりクレデンシャル情報の入力を行い（ステップＳ１１）、入力したクレデンシャル情報を伴うクレデンシャル応答を認証サービス装置５に送信する（ステップＳ１２）。
【００５６】
クレデンシャル応答を受信した認証サービス装置５は、予め内部に登録された利用者情報に含まれるクレデンシャル情報に基づき、登録されたパスワード等のクレデンシャル情報と一致するか否かをチェックし（ステップＳ１３）、一致する場合には認証が正常に行えた旨の認証結果と利用者識別子を伴う認証応答を、認証フィルタ装置４へのリダイレクトを設定して利用者端末装置１に送信する（ステップＳ１４）。
【００５７】
利用者端末装置１はリダイレクトの設定に従って自動的にリダイレクトし（ステップＳ１５）、認証応答を認証フィルタ装置４に送信する（ステップＳ１６）。
【００５８】
認証応答を受信した認証フィルタ装置４は、所定のアルゴリズムにより認証識別子を発行して利用者識別子と対応付けて内部に登録するとともに（ステップＳ１７）、発行した認証識別子を伴うサービス要求を、認証フィルタ装置４へのリダイレクトを設定して利用者端末装置１に対して送信する（ステップＳ１８）。
【００５９】
利用者端末装置１はリダイレクトの設定に従って自動的にリダイレクトし（ステップＳ１９）、サービス要求を認証フィルタ装置４に送信する（ステップＳ２０）。
【００６０】
サービス要求を受信した認証フィルタ装置４は、アクセストークンの有無と、アクセストークンがある場合は認証識別子の有無と、認証識別子がある場合には認証フィルタ装置４の内部に登録された認証識別子に存在するか否か判断する（ステップＳ２１）。この場合は、アクセストークンと認証識別子を伴うサービス要求であるため、更に認証識別子が認証フィルタ装置４の内部に登録された認証識別子に存在するか否か判断し、リダイレクトにより送られたサービス要求であるため、認証フィルタ装置４の内部に登録された認証識別子に存在すると判断する。
【００６１】
これにより、認証フィルタ装置４は適正なサービス要求であると判断し、そのサービス要求をサービス提供装置６に送信（転送）する（ステップＳ２２）。
【００６２】
サービス要求を受信したサービス提供装置６は、形式的に適正なアクセストークンと認証識別子が伴われていることを条件に、所定のサービスを実行し（ステップＳ２３）、サービス実行結果を利用者端末装置１に送信する（ステップＳ２４）。なお、サービス実行結果を認証フィルタ装置４を経由して利用者端末装置１に送信するようにしてもよい。
【００６３】
なお、リダイレクトは、利用者がサービス提供装置６等からリダイレクト先ＵＲＬをあらかじめ取得し、ステップＳ９、ステップＳ２０の要求を手動で発信してもよい。
【００６４】
＜総括＞
以上説明したように、本実施形態によれば、アクセストークンに含めた認証方法識別子によって認証方法を選択できるため、認証方法を柔軟にカスタマイズ可能であり、認証方法の自由度を高めることができる。
【００６５】
以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。
【符号の説明】
【００６６】
１                  利用者端末装置
２                  ネットワーク
３                  アクセストークン発行装置
４                  認証フィルタ装置
４１                アクセストークン検出部
４２                認証識別子管理部
４３                認証方法識別子検出部
４４                アクセス転送部
４５                認証識別子格納部
４６                認証方法情報格納部
５、５Ａ〜５Ｃ      認証サービス装置
５１                認証部
５２                利用者情報格納部
６                  サービス提供装置
【図１】
0005373132.tif 000002
【図２】
0005373132.tif 000003
【図３】
0005373132.tif 000004
【図４】
0005373132.tif 000005
【図５】
0005373132.tif 000006
【図６】
0005373132.tif 000007